日韩天天综合网_野战两个奶头被亲到高潮_亚洲日韩欧美精品综合_av女人天堂污污污_视频一区**字幕无弹窗_国产亚洲欧美小视频_国内性爱精品在线免费视频_国产一级电影在线播放_日韩欧美内地福利_亚洲一二三不卡片区

動(dòng)易CMS 2007新特性體驗(yàn)之旅——全面提高的安全性(5)_動(dòng)易Cms教程

編輯Tag賺U幣
教程Tag：暫無(wú)Tag,歡迎添加,賺取U幣!

　　而對(duì)于不能使用參數(shù)化查詢(xún)的部分（比如in、like語(yǔ)句），使用嚴(yán)格的過(guò)濾函數(shù)進(jìn)行過(guò)濾。如各模塊的搜索功能的模糊查詢(xún)語(yǔ)句："select * from aaa where Title like '%" & Keyword & "%'"，在這里會(huì)對(duì)提交過(guò)來(lái)的要害字做嚴(yán)格的過(guò)濾。

　　另外，動(dòng)易CMS2007還通過(guò)限定URL的傳遞參數(shù)類(lèi)型、數(shù)量、范圍等來(lái)防止通過(guò)構(gòu)造URL進(jìn)行惡意攻擊。

以下是引用片段：
5、跨站腳本攻擊（XSS）防范：
●對(duì)于不支持HTML標(biāo)記的內(nèi)容使用HTMLEncode進(jìn)行編碼
●對(duì)于支持HTML標(biāo)記的內(nèi)容使用腳本過(guò)濾函數(shù)來(lái)過(guò)濾絕大部分可運(yùn)行的腳本代碼，作為防范的輔助措施
●通過(guò)frame的安全屬性security="restricted"來(lái)阻止腳本的運(yùn)行（IE有效）
●使用Cookie的HttpOnly屬性來(lái)防止Cookie通過(guò)腳本泄密（IE6 SP1以上、Firefox 3）

　　根據(jù)OWASP組織發(fā)布的2007年Web應(yīng)用程序脆弱性10大排名統(tǒng)計(jì)，跨站腳本、注入漏洞、跨站請(qǐng)求偽造、信息泄露等幾方面仍然是目前流行的攻擊方式。其中，跨站腳本攻擊已經(jīng)超過(guò)了SQL注入漏洞攻擊，位列首位。因?yàn)閄SS最難處理，限制得過(guò)死，正常功能也將無(wú)法使用，稍微一松，就有可能因?yàn)檫^(guò)濾不嚴(yán)而產(chǎn)生漏洞。而XSS的攻擊方式之多，可能會(huì)超乎大家的想像。我發(fā)個(gè)網(wǎng)址給大家，有愛(ài)好的人可以上去看看：http://ha.ckers.org/xss.html

　　動(dòng)易的腳本過(guò)濾函數(shù)針對(duì)上述網(wǎng)址中的攻擊方式制定了一套完整的防范方案，可以有效的防范XSS攻擊。再綜合運(yùn)用上述列舉的各種防范措施，可以最大限度的防范跨站腳本攻擊。

以下是引用片段：
6、跨站請(qǐng)求偽造（CSRF）防范：
●禁止通過(guò)地址欄直接訪問(wèn)或者通過(guò)外部鏈接訪問(wèn)后臺(tái)治理頁(yè)面
●通過(guò)設(shè)置ViewStateUserKey屬性防止受到惡意用戶(hù)的點(diǎn)擊式攻擊（對(duì)應(yīng)Post方式）
●通過(guò)對(duì)鏈接追加安全驗(yàn)證碼（HMACSHA1）防止跨站請(qǐng)求偽造（對(duì)應(yīng)Get方式）

　　什么是跨站請(qǐng)求偽造？大家可以看看這篇文章：

查看更多 動(dòng)易Cms教程  動(dòng)易Cms模板

來(lái)源：模板無(wú)憂//所屬分類(lèi)：動(dòng)易Cms教程/更新時(shí)間：2007-08-20
相關(guān)動(dòng)易Cms教程：